ISO 27001 in der Fertigung: Schutz für Produktion und Know-how

Ab dem 20. Januar 2027 gilt die EU-Maschinenverordnung 2023/1230, und mit ihr wird Cybersicherheit zur Zulassungsfrage für Maschinen. Anhang III verlangt unter anderem, dass Hardware, Software und sicherheitsrelevante Daten gegen Manipulation geschützt sind, dass jede Änderung protokolliert wird und dass Steuerungen einem Angriff standhalten, ohne einen gefährlichen Zustand zu erzeugen. Sicherheit wandert damit vom Serverraum in das Produkt.

Warum ist ISO 27001 in der Fertigung 2026 zur Pflichtübung geworden?

Weil drei Regelwerke gleichzeitig greifen und alle dieselbe Grundlage brauchen. Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 und erfasst große Teile des verarbeitenden Gewerbes. Der Cyber Resilience Act verlangt ab dem 11. September 2026 Meldungen über aktiv ausgenutzte Schwachstellen an vernetzten Produkten, ab dem 11. Dezember 2027 gelten seine vollen Anforderungen. Und die Maschinenverordnung kommt Anfang 2027 dazu.

Diese Rahmen haben eigene Fristen und eigene Formulierungen, aber sie fragen im Kern nach demselben: nachweisbares Risikomanagement, kontrollierte Zugänge, gesteuerte Lieferanten, geregelte Schwachstellen- und Vorfallbehandlung. ISO 27001 ist der Standard, in dem sich das strukturieren lässt. Die ISO-Survey zählt weltweit 96.709 gültige Zertifikate, rund eine Verdopplung gegenüber dem Vorjahr, und seit dem 31. Oktober 2025 gilt allein die Fassung von 2022.

Wen erfasst ISO 27001 in der Fertigung, und ab welcher Größe?

Hier unterschätzen viele Betriebe ihre Lage. Anlage 2 des BSIG führt das verarbeitende Gewerbe ausdrücklich als Sektor wichtiger Einrichtungen auf, und zwar über die NACE-Abteilungen 26 bis 30: Datenverarbeitungsgeräte sowie elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile sowie sonstiger Fahrzeugbau. Hersteller von Medizinprodukten nach der Verordnung (EU) 2017/745 sind separat genannt.

Die Schwelle für wichtige Einrichtungen liegt bei 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Ein Maschinenbauer mit sechzig Leuten ist damit reguliert, ohne dass er sich als kritische Infrastruktur verstehen würde. Dazu kommt der Druck aus der Kette: § 30 BSIG verpflichtet betroffene Unternehmen zur Sicherheit ihrer Lieferkette, und OEMs geben das per Vertrag nach unten weiter.

Welche Risiken adressiert ISO 27001 in der Fertigung konkret?

Zwei Dinge stehen auf dem Spiel, die Produktion und das Wissen. Die Bitkom-Studie „Wirtschaftsschutz 2025“ bilanziert 289,2 Milliarden Euro Schaden, 87 Prozent der Unternehmen waren betroffen, 59 Prozent sehen ihre Geschäftsexistenz bedroht. Ransomware traf 34 Prozent, gegenüber 12 Prozent im Jahr 2022.

Für Industriebetriebe ist die Herkunft der Angriffe besonders aufschlussreich: 46 Prozent der Betroffenen führen Angriffe nach Russland zurück, ebenso viele nach China, 28 Prozent ordnen Vorfälle ausländischen Nachrichtendiensten zu. Wer Konstruktionsdaten, Fertigungsparameter und Rezepturen in CAD-, PLM- und ERP-Systemen hält, ist damit nicht nur Erpressungsziel, sondern auch Spionageziel. Der Verizon Data Breach Investigations Report 2025 nennt Zugangsdatenmissbrauch mit 22 Prozent und ausgenutzte Schwachstellen mit 20 Prozent als führende Einstiegsvektoren, letztere mit einem Plus von 34 Prozent. Der Annex A der Fassung 2022 stellt 93 Maßnahmen bereit, aus denen risikobasiert ausgewählt wird.

Was leistet ISO 27001 in der Fertigung zusätzlich für TISAX, NIS2 und die Maschinenverordnung?

Ein Aufbau, mehrere Nachweise. Die Automobilzulieferung fragt TISAX ab, die Kunden fragen nach NIS2-Konformität in der Lieferkette, und ab 2027 fragt die Marktaufsicht nach Cybersicherheit am Produkt. Alle drei setzen auf denselben Kern: Risikoanalyse, Zugriffskontrolle, Lieferantensteuerung, Schwachstellen- und Vorfallbehandlung, Betriebskontinuität.

Wichtig ist dabei die Reihenfolge. Wer diese Bausteine einmal sauber aufbaut, bedient daraus mehrere Rahmen. Wer für jede Anforderung ein eigenes Projekt startet, zahlt dreimal. Dass die Investition marktüblich ist, zeigt die Budgetseite: Unternehmen stecken laut Bitkom inzwischen 18 Prozent ihres IT-Budgets in Sicherheit, gegenüber 9 Prozent im Jahr 2022.

Wie lange dauert ISO 27001 in der Fertigung bis zum Zertifikat?

Je nach Reife sind drei bis sechs Monate bis zum Audit realistisch. Das externe Audit läuft in zwei Stufen, Dokumentenprüfung und Wirksamkeitsprüfung, danach folgt das Zertifikat mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits.

Die eigentliche Arbeit liegt in der Verzahnung von Büro-IT und Produktionsnetz. Steuerungen, Maschinennetze und Fernwartungszugänge gehören in den Geltungsbereich, auch wenn sie sich nicht wie Büro-IT patchen lassen. Wer die Betriebstechnik nachträglich anflanscht, zahlt die teuerste Korrekturschleife.

Was steht im Whitepaper?

• Warum die vernetzte Fabrik Chance und Angriffsfläche zugleich ist und wie der Takt der OEM-Lieferkette wirkt
• Fünf Eigenheiten von Industriebetrieben, die die Zertifizierung erschweren, von der Verfügbarkeit der Produktion bis zur dünnen IT-Decke im Maschinenraum
• Fünf Risikoszenarien aus der Praxis, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap in sechs Schritten mit realistischer Zeitschätzung bis zum Zertifikat
• Wie ein Aufbau die Basis für TISAX und einen Großteil von NIS2 zugleich legt, mit einem Praxisbeispiel

Das Whitepaper richtet sich an Geschäftsführungen, IT- und OT-Verantwortliche sowie Qualitäts- und Compliance-Verantwortliche in Industrieunternehmen, Zulieferbetrieben und im Maschinenbau. Laden Sie es kostenfrei herunter.